WireGuard 分流实战教程：精确路由与高效配置指南

• 面对不想全部走代理的需求：为什么需要精确分流
• 分流的两种主流思路：路由层面 vs 策略路由
• 何时选哪种方式
• 精确分流的关键要素
• 实际案例：按域名和应用混合分流的思路
• 配置流程概述（不含具体命令）
• 优缺点与常见陷阱
• 优化与未来趋势
• 故障排查提示

面对不想全部走代理的需求：为什么需要精确分流

许多场景下我们并不希望把所有流量都通过 WireGuard 隧道传输。比如：国内访问速度更快的服务、局域网设备（NAS、打印机）、或对延迟敏感的游戏流量，直接走本地出口更优；而需要突破地理限制或访问外部服务的流量则走 VPN。把所有流量都丢给隧道会增加延迟、浪费带宽、并可能触发目标网络的限流或封锁。由此，精确路由（分流）既能保障性能，又能增强安全性和可控性。

分流的两种主流思路：路由层面 vs 策略路由

基于路由表的静态分流：把需要走 VPN 的目标网络（例如某些 IP 段或远程服务器地址）加入到 WireGuard 接口的路由表。这种方法简单直观，适合目标 IP 稳定且数量不多的情况。优点是实现容易、开销小；缺点是当目标地址频繁变化或需要按域名/应用分流时维护成本高。

基于策略（规则、ip rule）或防火墙标记的分流：通过 mark（标记）将特定应用或端口绑定到策略路由表，实现基于源地址、端口或进程的流量选择。通常结合 iptables/nftables 的 mangle 表。优点是灵活，可按用户、进程、端口或接口做细粒度控制；缺点是配置复杂，可能对性能有轻微影响，且在移动设备或非 Linux 平台上支持有限。

何时选哪种方式

简单场景（少量 IP、对端网络稳定）优先使用静态路由；需要按域名、应用或动态目标分流时选择策略路由；追求最低延迟且流量定义明确时建议仅用静态路由并配合本地 DNS。

精确分流的关键要素

要实现可靠的分流，应该关注以下几个要点：

• 路由优先级与默认路由：确保系统默认路由和 WireGuard 接口路由不会冲突。常见做法是仅为 WireGuard 添加需要的目的路由，不改变默认网关。
• DNS 泄露防护：分流后可能出现 DNS 请求走本地或隧道的不一致。合理配置本地 resolver（比如 dnsmasq）并为不同域配置不同上游可以避免泄露。
• 多对端与子网冲突：当 WireGuard 有多个 Peer 或多条隧道时，需要保证各自的 AllowedIPs 不重叠，否则系统会选择任一匹配项导致不可预期的路由。
• IPv6 支持：如果同时启用 IPv6，务必对 IPv6 路由也进行分流配置，否则会出现双通道泄露。
• 性能监控：监控隧道延迟、丢包率和带宽，及时调整分流策略以优化体验。

实际案例：按域名和应用混合分流的思路

场景：希望浏览国外网站、某些视频服务走 WireGuard；访问公司内网、局域网设备走直连；常用国内服务走本地 DNS。

实现要点（文字说明）：

• 域名分流：在本地 resolver 上为需要走隧道的域名设置指向隧道出口的解析（或把这些域名的 A/AAAA 解析结果添加到隧道路由表对应的 IP 列表）。因为域名可能会解析为多个 IP，需定期刷新解析并同步路由。
• 应用分流：在桌面或路由器端通过防火墙将特定端口或 UID 标记，然后用策略路由把标记流量发往 WireGuard 表。比如把浏览器进程的 UID 标记并转给 WireGuard 表。
• 局域网直连：确保局域网子网（如 192.168.1.0/24）没有被隧道路由覆盖，且本地接口路由优先匹配本地网段。
• 备份策略：当隧道不可达时，按策略选择回落到本地出口或阻断访问，以避免敏感流量泄露。

配置流程概述（不含具体命令）

1）规划：列出需要通过隧道的目标（IP 段、域名、应用）。明确哪些流量必须直连、哪些必须通过隧道、哪些可选。

2）WireGuard 端设置：在 Peer 的 AllowedIPs 中只包含需要走隧道的那些 IP 段，避免使用 0.0.0.0/0（全量路由）除非确有必要。

3）本端路由添加：把这些目标 IP 加入到 WireGuard 接口的路由表，或创建专属路由表并通过策略路由选择。

4）策略标记：如需按应用分流，在防火墙处对出站连接进行标记，然后使用策略路由表根据 mark 转发到 WireGuard 网关。

5）DNS 同步：确保域名解析结果与分流列表保持一致，必要时采用本地 DNS 拦截并按域名返回特定解析。

6）测试与监控：分别测试直连和隧道路径，观察延迟、丢包及 DNS 解析结果，调整规则优先级和匹配范围。

优缺点与常见陷阱

优点：带宽与延迟优化、减少对隧道的依赖、提高安全性（仅敏感流量走 VPN）、节省远端出口资源。

缺点：配置复杂、维护成本高、可能出现 DNS 泄露或路由冲突问题。策略路由对系统支持程度依赖较大，跨平台一致性较差。

常见陷阱：

• 把网关或常用公共 IP（如 8.8.8.8）错误地加入到隧道路由，导致 DNS 无法访问或死循环。
• AllowedIPs 过宽导致所有流量都走隧道。
• 忘记为 IPv6 配置分流规则，造成意外的 IPv6 泄露。
• 动态域名未及时更新路由，导致访问中断或误走直连。

优化与未来趋势

当前一些更高阶的优化手段包括：利用 eBPF 做高性能的流量分流与过滤、在路由器上用专门的分流守护进程自动同步域名到路由、以及结合 QUIC/HTTP3 的隧道化方案以减少连接建立延迟。随着内核对 WireGuard 的支持与网络栈演进，基于内核的更低开销分流实现会越来越普及。

故障排查提示

遇到分流问题，按以下顺序排查：

• 确认路由表（包括策略路由）是否包含预期条目。
• 检查防火墙规则及 mark 是否生效。
• 验证 DNS 解析路径与客户端的实际出口是否匹配。
• 测试 IPv4/IPv6 的单独连通性，排除单栈问题。
• 在中间设备（如路由器）捕获流量观察走向，确认是否被 NAT 或其它规则改写。

通过合理规划和分层设计，WireGuard 的分流可以在保持安全性的同时，最大化网络性能与可控性。对于爱好者和家庭路由器用户，逐步从静态路由过渡到策略路由并配合自动化 DNS 同步，会显著提升使用体验。